Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Prevenzione della perdita di dati
| |
| --- |
| Destinatari: amministratori di sistema e amministratori di Amazon Quick |
Amazon Quick si integra con Microsoft Purview per applicare le politiche di prevenzione della perdita di dati (DLP) della tua organizzazione. Dopo aver collegato il Microsoft Purview tenant, Quick classifica e protegge i file sensibili condivisi tramite spazi, chat e knowledge base. I dati sensibili rimangono entro i limiti definiti dalle politiche di governance delle informazioni dell'organizzazione.
## Concetti di prevenzione della perdita di dati
Prima di configurare DLP in Amazon Quick, acquisisci familiarità con i seguenti concetti.
Etichette di sensibilità
Le etichette di sensibilità sono classificazioni definite nel Microsoft Purview tenant per descrivere il livello di sensibilità dei contenuti, ad esempio * Pubblico*, * Riservato o * Altamente riservato*. * È possibile organizzare le etichette gerarchicamente con etichette principali e sottoetichette (etichette secondarie).
Azioni di applicazione
Le azioni di applicazione definiscono il modo in cui Quick gestisce un file con un'etichetta di riservatezza specifica.
+ **Blocca**: Quick rifiuta il file e il file non può essere condiviso o caricato. Viene visualizzato un messaggio di errore.
+ **Avvisa**: nelle funzionalità interattive, viene visualizzato un messaggio di avviso e puoi scegliere di procedere o annullare il caricamento.
+ **Consenti**: Quick condivide il file senza restrizioni.
Azione predefinita
L'azione predefinita è l'azione di applicazione che Quick applica a qualsiasi file la cui etichetta di sensibilità non è stata esplicitamente mappata a un'azione specifica. L'azione predefinita viene impostata durante la configurazione. L'azione predefinita copre anche le nuove etichette in cui vengono pubblicate Microsoft Purview dopo l'installazione. Quick gestisce immediatamente i file che contengono tali etichette, in modo che nulla rimanga senza protezione. Per assegnare una propria azione a una nuova etichetta, modifica la configurazione e mappala in modo esplicito.
Azione di interruzione del provider
L'azione di interruzione del provider determina il modo in cui Quick gestisce i file quando il provider DLP (Microsoft Purview) è temporaneamente non disponibile. È possibile impostarlo su una delle seguenti azioni.
+ **Blocca**: Quick rifiuta i file fino a quando il provider non sarà nuovamente disponibile.
+ **Avvisa**: Quick consente il passaggio dei file e mostra un avviso durante l'interruzione.
+ **Consenti**: Quick consente il passaggio dei file senza restrizioni.
Funzionalità
Le funzionalità sono le aree all'interno di Amazon Quick in cui Quick applica l'applicazione della DLP.
+ **Spazi**: file che gli utenti caricano in aree di lavoro collaborative.
+ **Chat**: file che gli utenti condividono tramite conversazioni in chat.
+ **Basi di conoscenza**: contenuti sincronizzati tramite SharePoint e altri connettori. OneDrive
Ereditarietà delle etichette
Nella configurazione di mappatura delle etichette, è possibile assegnare a un'etichetta principale un'azione esplicita (Blocca o Avvisa) o lasciarla impostata sull'azione predefinita. Sub-labels (etichette secondarie) ereditano l'azione dell'etichetta principale. Un'etichetta che non hai mappato in modo esplicito segue l'azione dell'etichetta principale mappata, se ne esiste una. Altrimenti, viene applicata l'azione predefinita.
## Prerequisiti
Preparate quanto segue prima di creare una configurazione DLP.
### Microsoft Purview etichette di sensibilità
Devi già pubblicare le tue etichette di riservatezza (ad esempio, * Pubbliche*, * Confidenziali * e * Altamente riservate*) nel tuo Microsoft Purview o Microsoft 365 nel tenant. Quick legge queste etichette in diretta dal tuo inquilino.
### A ID Microsoft Entra registrazione dell'app
Registra un'applicazione in Microsoft Entra ID (Azure AD) che Quick utilizza per leggere le etichette e classificare i file. Annota l'ID della ** directory (tenant) ** e ** l'ID dell'applicazione (client). ** Entrambi sono GUID necessari per creare una credenziale segreta per il cliente. È necessario concedere alla registrazione dell'app le seguenti autorizzazioni API.
| Autorizzazione API | Tipo | Description |
| --- | --- | --- |
| UnifiedPolicy.Tenant.Read | Richiesto | Leggi la politica unificata di protezione dei dati per il tenant. |
| SensitivityLabels.Read.All | Richiesto | Leggi tutte le etichette di sensibilità definite nel tenant. |
| Files.Read.All | Facoltativo | Obbligatorio solo se si utilizzano basi di conoscenza supportate da SharePoint oOneDrive. |
### Un record AWS Secrets Manager (segreto)
Memorizza Purview le credenziali in un segreto di AWS Secrets Manager nello stesso AWS account del tuo account Quick. Usa il seguente formato JSON per il valore segreto.
```
{
"clientId": "abcdef12-3456-7890-abcd-ef1234567890",
"clientSecret": "",
"tenantId": "11111111-1111-1111-1111-111111111111"
}
```
**Nota**
Quick memorizza solo l'ARN del tuo segreto. Quick legge le credenziali in fase di esecuzione e non le visualizza mai nella console, le restituisce dall'API o le scrive nei log.
**Importante**
Usa esattamente questi tre nomi chiave: `clientId``clientSecret`, e`tenantId`. Cerca rapidamente queste chiavi alla lettera, quindi una chiave rinominata o mancante causa il fallimento della convalida con un errore di campi mancanti. Memorizza il valore come singolo oggetto JSON.
### Accedi per Quick al tuo segreto
Accedi al tuo AWS account come amministratore e apri la console di amministrazione di Quick. Quindi concedi a Quick il permesso di leggere il tuo segreto di Secrets Manager.
1. Scegli ** Autorizzazioni**, quindi scegli **AWS le risorse**.
1. Seleziona **AWS Secrets Manager ** dall'elenco dei servizi.
1. Scegli il tuo segreto.
1. Scegli **Save** (Salva).
### Segreti crittografati con una chiave KMS gestita dal cliente
Se una chiave KMS gestita dal cliente crittografa il tuo segreto di Secrets Manager, Quick necessita anche `kms:Decrypt` dell'autorizzazione per quella chiave, oltre a. `secretsmanager:GetSecretValue`
**Importante**
La ** pagina ** Autorizzazioni ** e **AWS risorse non può essere concessa. `kms:Decrypt` Modifica il ruolo del servizio Quick direttamente in IAM per aggiungerlo. Dopo aver modificato il ruolo manualmente, non puoi più gestirlo dalla ** pagina delle **AWS risorse nella console di amministrazione.
Aggiungi una dichiarazione come la seguente al ruolo. Sostituisci l'ID dell'account, il nome segreto e l'ID chiave con i tuoi.
```
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [ "secretsmanager:GetSecretValue" ],
"Resource": [
"arn:aws:secretsmanager:::secret:",
"arn:aws:secretsmanager:::secret:"
]
},
{
"Effect": "Allow",
"Action": [ "kms:Decrypt" ],
"Resource": [ "arn:aws:kms:::key/" ]
}
]
}
```
### Replica del tuo segreto in tutte le regioni
Quick legge il tuo segreto Regione AWS ovunque valuta i file, quindi il segreto deve esistere in ciascuna di quelle regioni. Replicatelo utilizzando ** Replicate secret in altre regioni ** nella console Secrets Manager e assicuratevi che il ruolo conceda l'accesso a ogni ARN di replica.
Se una chiave KMS gestita dal cliente non crittografa il segreto, è sufficiente replicarlo. Se una chiave KMS gestita dal cliente crittografa il segreto, utilizza uno dei seguenti approcci.
**Opzione 1: chiavi Single-Region **
1. Replica il segreto nell'altra regione.
1. Stacca la replica dal segreto principale in modo che diventi autonoma.
1. Crea una chiave KMS nell'altra regione.
1. Allega quella chiave al segreto indipendente.
1. `kms:Decrypt`Concedi la nuova chiave, come descritto in[Segreti crittografati con una chiave KMS gestita dal cliente](#dlp-prereq-kms).
**Opzione 2: Multi-Region chiave **
1. Crea una chiave multiregionale nella tua regione d'origine.
1. Imposta la chiave multiregionale come chiave di crittografia del segreto.
1. Replica la chiave multiregionale nell'altra regione.
1. Replica il segreto in quella regione e seleziona la chiave multiregionale replicata come chiave di crittografia.
1. `kms:Decrypt`Concedi la chiave di replica, come descritto in. [Segreti crittografati con una chiave KMS gestita dal cliente](#dlp-prereq-kms)
## Creazione di una configurazione DLP
Accedi alla console di amministrazione. Scegli ** Governance**, scegli Prevenzione della perdita di ** dati**, quindi scegli ** Crea configurazione DLP ** per aprire la procedura guidata di configurazione. La procedura guidata è composta da quattro passaggi, elencati nel riquadro di navigazione. La tabella seguente descrive ogni passaggio.
| Fase | Nome | Description |
| --- | --- | --- |
| 1 | Provider | Selezionare il provider DLP (Microsoft Purview). |
| 2 | Credenziali | Assegna un nome alla configurazione e connettiti a AWS Secrets Manager. |
| 3 | Mappatura delle etichette | Applicazione dell'ambito e mappatura delle etichette di sensibilità alle azioni. |
| 4 | Verificare | Conferma le impostazioni e attiva la configurazione. |
### Fase 1: Fornitore
Seleziona ** Microsoft Purview ** come provider DLP, quindi scegli ** Continua. **
### Fase 2: Credenziali
Immetti le seguenti informazioni:
+ **Nome della configurazione**: un nome descrittivo mostrato nella dashboard, ad esempio,. `Knowledge base DLP`
+ **ARN segreto**: incolla l'ARN del tuo segreto Secrets Manager.
+ Scegli ** Convalida ** per connetterti Purview con il segreto e verificare le autorizzazioni di lettura richieste.
**Nota**
Ogni autorizzazione richiesta mostra un segno di spunta verde quando la convalida ha esito positivo. Se manca un'autorizzazione o il segreto non è valido, Quick contrassegna il problema in linea in modo da poterlo correggere e riprovare.
**Importante**
Non puoi continuare con il passaggio successivo finché la convalida non ha esito positivo. Verifica che la registrazione dell'app disponga di tutte le autorizzazioni API richieste e che l'ARN segreto sia corretto prima di riprovare.
### Fase 3: Mappatura delle etichette
Associa ogni etichetta di sensibilità a un'azione:
+ **Azione predefinita**: scegli l'azione che Quick applica a qualsiasi etichetta che non mappi esplicitamente. Le opzioni sono ** Blocca**, ** Avvisa o ** ** Consenti. ** Un punto di partenza conservativo è ** Block**.
+ **Etichette sensibili**: Quick carica l'elenco corrente delle etichette del tuo Purview inquilino. Per ogni etichetta, scegli la sua azione. Sub-labelsereditano l'azione dei genitori. Scegli ** Aggiorna ** se hai modificato di recente le etichette Purview e desideri recuperare l'elenco più recente.
+ **Azione di interruzione del provider**: scegli cosa fa Quick quando non Purview è raggiungibile: ** Blocca ** (chiusura fallita: massima sicurezza), ** Avvisa ** o ** Consenti (apertura non riuscita). ** Per una knowledge base contenente materiale sensibile, ** Block ** è l'azione consigliata per interrompere l'attività del provider.
Scegli **Rivedi**.
La tabella seguente descrive le azioni di applicazione.
Consenso
Il file procede normalmente. Quick non applica restrizioni.
Warn
Il file procede, ma Quick ti avvisa nelle funzionalità interattive (Chat e Spaces) se è contrassegnato da un'etichetta sensibile.
Blocco
Quick rifiuta il file e non lo inserisce nell'indice Quick.
### Fase 4: verifica
Rivedi il riepilogo: il provider, il nome della configurazione, il metodo di autenticazione, le funzionalità, la suddivisione label-to-action, l'azione predefinita e l'azione di interruzione del provider. Scegli il link di modifica accanto a qualsiasi sezione per tornare ad essa.
Usa l'**interruttore ** ** ** Attivo/Inattivo per impostare se Quick applica la configurazione non appena la crei (l'impostazione predefinita è Attiva). ** ** Quick salva una ** configurazione ** inattiva ma non la applica finché non la attivi. Al termine, scegli **Crea**.
La configurazione ora appare come una scheda nella dashboard di prevenzione ** della perdita di ** dati. Se la lasci ** attiva**, Quick inizia a applicarla ai nuovi file caricati nelle tue knowledge base.
## Come funziona l'applicazione
Quando un file entra in una funzionalità Quick protetta da una configurazione DLP attiva, si verifica la seguente sequenza.
1. Un file entra in una funzionalità Quick protetta: ad esempio, Quick inserisce i documenti durante una sincronizzazione della knowledge base.
1. Quick DLP recupera l'etichetta di riservatezza del file. Microsoft Purview
1. Quick abbina l'etichetta alla mappatura etichetta-azione nella configurazione.
1. Quick applica l'azione risultante.
+ **Consenti**: il file procede normalmente.
+ **Avvisa**: il file procede, ma Quick ti avvisa nelle funzionalità interattive (Chat e Spaces) se è contrassegnato da un'etichetta sensibile.
+ **Blocca**: Quick rifiuta il file.
1. Per un'etichetta che non hai mappato in modo esplicito, Quick verifica la presenza di un'etichetta principale mappata. Se esiste un genitore mappato, Quick utilizza l'azione di quel genitore. Altrimenti, applica l'azione ** ** predefinita. Anche le nuove etichette pubblicate Purview dopo l'installazione sono coperte dall'azione predefinita, quindi Quick le gestisce immediatamente. Per assegnare a una nuova etichetta una propria azione, modificate la configurazione e mappatela in modo esplicito.
1. Se Quick non riesce a raggiungerloPurview, applica l'azione di interruzione ** del provider configurata. **
**Suggerimento**
Per una knowledge base contenente materiale riservato, ti consigliamo di impostare sia l'azione predefinita che l'azione di interruzione del provider su Blocca. ** ** Ciò impedisce a Quick di ingerire file senza etichetta o file che arrivano durante un'interruzione. Purview
## Applicazione per capacità
L'applicazione della DLP si applica a tre funzionalità: ** Chat**, ** Spaces ** e ** Knowledge base**. Le stesse azioni si applicano a tutte e tre. Ciò che viene visualizzato e la posizione in cui Quick registra il risultato dipende dal fatto che Quick esegua la scansione del file in modo interattivo o durante una sincronizzazione in background.
### Funzionalità interattive: Chat e Spaces
Quick valuta i file man mano che li condividi o li carichi, mentre aspetti il risultato.
+ **Blocca**: Quick rifiuta il file e viene visualizzato un messaggio di errore.
+ **Avvisa**: viene visualizzato un messaggio di avviso e puoi scegliere di procedere o annullare.
+ **Consenti**: Quick condivide il file senza restrizioni.
### Knowledge base
Quick valuta i file durante l'inserimento, dopo l'avvio della sincronizzazione, in modo che nessun utente attenda il risultato. Seguono due conseguenze.
+ **Non è presente alcuna richiesta di avviso. ** Quick inserisce un file con un'etichetta mappata ** su Avvisa ** e l'**azione ** Avvisa non ha alcun effetto visibile all'utente su questa funzionalità.
+ **I risultati vengono visualizzati nel rapporto Quick Observability. ** Per vedere cosa ha fatto DLP durante la sincronizzazione della knowledge base, apri il rapporto Quick Observability relativo a tale sincronizzazione. Il rapporto mostra uno stato per file.
BLOCCATO
Quick non ha inserito il file nell'indice. **Lo stato ** BLOCCATO può indicare l'applicazione della DLP o un errore interno. Il messaggio di errore relativo agli errori interni è generico.
AGGIUNTO
Quick ha inserito un nuovo file. Questo stato include i file che corrispondono alle ** etichette ** Warn; il rapporto non li mostra separatamente.
MODIFICATO
Ha aggiornato e reinserito rapidamente un file esistente. I file che corrispondono alle ** etichette ** Warn vengono visualizzati come ** MODIFICATI ** se il file è stato modificato dall'ultima sincronizzazione.
## Verifica della configurazione
Dalla scheda di configurazione sulla dashboard, scegli l'icona ** Test ** (file-scan). Fornisci l'URI Amazon S3 (ad esempio`s3://bucket/key`) di un file etichettato e verifica che restituisca il risultato Allow, Warn o Block previsto prima di utilizzarlo in produzione.
**Nota**
L'azione di test viene eseguita a secco utilizzando l'attuale mappatura label-to-action. Non modifica il file né influisce sui dati in tempo reale.
## Gestione delle configurazioni
Da ogni scheda del dashboard, puoi eseguire le seguenti azioni.
+ **Modifica ** (icona a forma di matita): modifica le credenziali, le funzionalità, le mappature delle etichette, l'azione predefinita o l'azione di interruzione del provider.
+ **Attiva/Disattiva ** (attiva o disattiva): attiva o disattiva l'applicazione. La disattivazione richiede una conferma, poiché interrompe la protezione delle funzionalità coperte.
+ **Elimina**: rimuove completamente la configurazione (disponibile nella visualizzazione di modifica).
**Nota**
La scheda dashboard ti avvisa quando il Purview tenant ha nuove etichette che non hai ancora mappato. Finché non le mappi, seguono la tua azione predefinita.
## Limiti e convalide
I seguenti limiti si applicano alla DLP in Amazon Quick.
+ **Configurazioni DLP per account**: 10.
+ **Configurazioni DLP attive per account: 1. **
+ **Dimensione massima del file scansionato**: 500 MB. Quick non esegue la scansione di file più grandi.
### Tipi di file supportati
Quick analizza i tipi di file che Microsoft Purview supporta l'etichettatura:Word,Excel,PowerPoint, PDF,,Visio,Project, formati di immagine comuni (JPEG, PNG, TIFF, DNG, PSD), XPS, Power BI (,) ed `.pbit` email (`.dwfx`,`.pbix`). `.msg` `.eml` Per un elenco autorevole, consulta i tipi di file supportati sul sito Web. [https://learn.microsoft.com/en-us/information-protection/develop/concept-supported-filetypes](https://learn.microsoft.com/en-us/information-protection/develop/concept-supported-filetypes) Microsoft
Una distinzione è importante quando si legge questo elenco: rientrano nell'ambito di applicazione solo i tipi di file che Microsoft Purview supportano * l'etichettatura*. Quick non esegue la scansione dei file che richiedono Azure Rights Management la decrittografia o dei tipi di file che si applicano solo alle etichette protette.
### Etichette protette
Se un file contiene un'etichetta con protezione abilitata, Quick non esegue la scansione del file e applica invece l'azione predefinita. Le etichette protette non vengono visualizzate nella fase di mappatura delle etichette nella console di amministrazione. Puoi comunque fornirli tramite l'`CreateDlpSetting`API, ma il risultato della valutazione è lo stesso: si applica l'azione predefinita.
### Quando si applica l'azione predefinita
Oltre alle etichette che non hai mappato in modo esplicito, Quick torna all'azione predefinita quando si verifica una delle seguenti condizioni:
+ Il file non riporta alcuna etichetta di riservatezza.
+ Il tipo di file non è supportato (vedi[Tipi di file supportati](#dlp-supported-file-types)).
+ Il file supera il limite di 500 MB.
+ Il file è vuoto (0 byte).
+ Il file è contrassegnato da un'etichetta protetta.
**Nota**
Nell'API pubblica, l'azione predefinita è il `unmappedAction` campo.
## Best practice di sicurezza
+ **Utilizza una registrazione dell'app dedicata per DLP. ** Registra un'Microsoft Entra IDapplicazione separata per Quick DLP anziché riutilizzare una registrazione dell'app che serve altre integrazioni. Una registrazione dedicata consente di ruotare o revocare le credenziali in modo indipendente e di limitare l'ambito delle autorizzazioni.
+ **Concedi solo le autorizzazioni necessarie a DLP. ** Ambita la registrazione dell'app a `SensitivityLabels.Read.All` e`UnifiedPolicy.Tenant.Read`. Aggiungi `Files.Read.All` solo se utilizzi basi di conoscenza supportate da SharePoint oOneDrive; non è necessario elencare o mappare le etichette.
+ **Conserva le credenziali in Secrets Manager. ** Quick memorizza solo l'ARN del tuo segreto. Quick legge le credenziali in fase di esecuzione e non le visualizza mai nella console, le restituisce dall'API o le scrive nei log.
## Guida di riferimento alle API
Per la gestione programmatica delle impostazioni DLP, consulta Amazon Quick API Reference.
## Configurazione di Quick knowledge base
Per configurare le knowledge base di Quick Ingestion, segui le istruzioni per ciascun connettore:
+ [Integrazione della knowledge base di Google Drive](google-drive-knowledge-base.md)
+ [Integrazione con Microsoft OneDrive Knowledge Base](onedrive-knowledge-base.md)
+ [Integrazione con SharePoint la Knowledge Base di Microsoft](sharepoint-knowledge-base.md)
+ [Integrazione con Web Crawler](web-crawler-integration.md)
+ [Integrazione Amazon S3](s3-integration.md)
+ [Integrazione della knowledge base di Atlassian Confluence Cloud](confluence-knowledge-base.md)
## Risoluzione dei problemi
La tabella seguente elenca i problemi più comuni e come risolverli.
La convalida ha esito negativo con un errore di autorizzazione
Verifica che la registrazione all'app sia stata `SensitivityLabels.Read.All` concessa `UnifiedPolicy.Tenant.Read` e autorizzata dall'amministratore.
ARN segreto non trovato
Verifica che il segreto di Secrets Manager esista nello stesso AWS account di Quick e di aver concesso l'accesso rapido in ** Autorizzazioni**, **AWS risorse. **
L'elenco delle etichette è vuoto o obsoleto
Usa ** Aggiorna ** nel passaggio 3 (mappatura delle etichette) per recuperare nuovamente l'elenco di etichette corrente dal tuo tenant. Purview
I file vengono bloccati in modo imprevisto durante la sincronizzazione della knowledge base
Controlla il rapporto Quick Observability per la sincronizzazione. **Lo stato ** BLOCCATO può anche indicare un errore interno anziché l'applicazione della DLP. Controlla se il file contiene un'etichetta che hai mappato su Blocca, se l'azione predefinita è Blocca e l'azione di interruzione del provider se non è Purview stata raggiungibile durante la sincronizzazione.